Mengapa dua sertifikat OpenVPN dapat berbagi satu kebijakan CCD

Sebuah CA dapat menandatangani dua sertifikat yang mendapatkan OpenVPN konfigurasi khusus klien yang sama, dan tidak ada apa pun di kedua sertifikat itu yang memperingatkan siapa pun. Nomor seri berbeda, kunci berbeda, dan subjek lengkap juga berbeda begitu unit organisasi berubah. Server menentukan kebijakan per klien melalui satu nama, dan nama itulah satu-satunya hal yang harus unik.

Server menyelesaikan nama, bukan nomor seri

Dengan pencarian sertifikat biasa, server mengambil nama umum dari sertifikat yang disajikan dan mencari entri client-config-dir dengan nama itu. Nomor seri tidak pernah masuk ke pencarian. Dua sertifikat yang berbeda di semua bidang kecuali nama umum berakhir di berkas yang sama, sehingga koneksi kedua mewarisi alamat tetap dan rute yang didorong dari perangkat pertama.

Begitulah pemeriksaan keunikan di sisi CA lolos sementara VPN tetap bertabrakan. Kedua pemeriksaan menjawab pertanyaan yang berbeda.

Putuskan apa nama efektifnya sebelum menandatangani apa pun, dan catat di samping perangkat atau akun yang memilikinya. Catatan nama, pemilik, tujuan, dan sidik jari sertifikat mencakup sebagian besar penerapan. Tanpanya, arsip sertifikat adalah satu-satunya catatan nama mana milik perangkat mana, dan arsip itu tidak dapat membedakan penggantian resmi dari perangkat kedua yang mengklaim nama yang sudah ada. Cadangkan nama saat pendaftaran, di bawah kunci jika dua operator dapat menerbitkan pada saat yang sama.

Nama mana yang sebenarnya dipakai pemetaan

Pencarian sertifikat biasa memakai nama umum. Server yang disiapkan untuk memetakan nama pengguna terautentikasi memakai nilai itu sebagai gantinya, yang membuat nama umum sertifikat tidak relevan untuk pemilihan kebijakan. Baca konfigurasi yang berjalan untuk melihat pemetaan mana yang berlaku.

Kedua pemetaan dapat hadir sekaligus, dan hasilnya bergantung pada urutan server menyelesaikannya. Pemetaan nama pengguna yang mundur ke nama umum akan diam-diam menerima sertifikat yang tidak pernah disetujui catatan. Tulis nama efektif di samping perintah yang menghasilkannya agar operator berikutnya tidak perlu menemukan ulang urutannya. Menguji satu koneksi per pemetaan murah dan menyelesaikan pertanyaannya.

Apa pun yang dihasilkan pemetaan, itulah nilai yang harus dicadangkan. Mencadangkan nama umum di CA sementara server bertumpu pada nama pengguna berarti mencadangkan hal yang salah.

Dua CA dapat menyetujui nama yang sama

Layanan VPN dapat memercayai lebih dari satu otoritas penerbit, dan setiap otoritas menyimpan gagasannya sendiri tentang nama mana yang sudah terpakai. Dua CA independen dapat sama-sama menyetujui nama umum yang sama untuk perangkat berbeda, dan server menerima kedua sertifikat tanpa keluhan. Inventarisasi setiap otoritas dalam bundel kepercayaan, bukan hanya yang biasa Anda terbitkan. Kegagalan muncul pertama kali sertifikat dari otoritas kedua dipakai.

Penalaran yang sama berlaku bagi CA yang menegakkan keunikan subjek penuh alih-alih keunikan nama umum.

Dua sertifikat yang berbagi nama umum tetapi berbeda unit organisasi memiliki subjek berbeda, sehingga CA tidak melaporkan konflik sementara server melihat satu nama. Periksa pengaturan yang benar-benar dipakai alat penerbit Anda alih-alih mengasumsikan nilai bawaan. penanganan unique_subject dalam dokumentasi openssl ca adalah tombol yang relevan di sana, dan pembungkus di sekitar alat itu biasanya menampilkannya alih-alih menggantinya.

Perpanjangan adalah penggunaan ulang yang dicadangkan, bukan tabrakan

Perpanjangan yang mempertahankan nama adalah penggunaan ulang yang disengaja, dan catatan harus mengatakannya dengan kata-kata sederhana. Catat sidik jari lama dan yang baru di bawah satu nama agar peninjau dapat membedakan penggantian dari pengambilalihan. Opsi duplicate-cn server tidak berkaitan: ia mengatur sesi bersamaan, bukan pendaftaran atau pencadangan nama. Putuskan berapa lama kedua kredensial boleh ada dan kapan yang lama berhenti diterima.

Sebelum menyerahkan penggantian, baca kembali apa yang sebenarnya dikandung sertifikat. Baris subjek adalah bidang yang akan dipetakan server, apa pun yang disiratkan nama berkas.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Pencabutan biasanya mengidentifikasi sertifikat di bawah penerbitnya, sehingga memensiunkan satu nomor seri tidak memengaruhi penggantian yang diterbitkan dengan benar dari otoritas yang sama. Perilaku itulah yang dibutuhkan perpanjangan yang bersih, dan itulah sebabnya pencabutan tidak dapat membersihkan nama yang dipakai bersama oleh dua perangkat. Validasi nama kebijakan efektif dan alamat yang ditetapkan pada koneksi uji sebelum pengguna melihat perangkat. Lalu pensiunkan kredensial lama dengan sengaja dan catat bahwa Anda melakukannya.